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Kleine Anfrage 

der Abgeordneten Andrej Hunko, Anke Domscheit-Berg, Dr. Petra Sitte, 

Doris Achelwilm, Simone Barrientos, Birke Bull-Bischoff, Brigitte Freihold, 
Nicole Gohlke, Norbert Müller (Potsdam), Zaklin Nastic, Sören Pellmann, 
Martina Renner, Eva-Maria Elisabeth Schreiber, Katrin Werner, Kathrin Vogler, 
Sabine Zimmermann (Zwickau) und der Fraktion DIE LINKE. 


Kompromittierung deutscher Regierungsnetze 


Am 28. Februar 2018 meldete die Deutschen Presse-Agentur (dpa), „ausländische 
Flacker“ seien in den Informationsverbund des Bundes Berlin-Bonn (IVBB) ein¬ 
gedrungen („Innenministerium: Hacker griffen deutsches Regierungsnetz an“, 
morgenpost.de vom 28. Februar 2018). Im Auswärtigen Amt habe es „einen ent¬ 
sprechenden Vorfall“ gegeben, auch das Verteidigungsministerium sei betroffen. 
Den Hinweis auf die Kompromittierung hätten deutsche Geheimdienste nach In¬ 
formationen des Senders rbb am 19. Dezember von einem „ausländischen Part¬ 
ner“ erhalten („Von der Uni ins Ministerium?“, tagesschau.de vom 2. März 2018). 
In der Bundespressekonferenz vom 2. März 2018 wurde hierzu gemutmaßt, dieser 
Dienst käme aus dem Baltikum („Regierungspressekonferenz vom 2. März 
2018“, bundesregierung.de). Nun ermitteln Bundesamt für Sicherheit in der In¬ 
formationstechnik (BSI) und das für Spionageabwehr zuständige Bundesamt für 
Verfassungsschutz (BfV), auch der Auslandsgeheimdienst Bundesnachrichten¬ 
dienst (BND) ist eingebunden. Verbindungsdaten des IVBB werden drei Monate 
aufgehoben. Für rand neun Monate der Angriffe stehen für die Ermittlungen des¬ 
halb keine Logfües zur Verfügung. 

Als Urheber des „Vorfalls“ wurde von der dpa das in Russland verortefe Nefz- 
werk „APT28“ benannt, das auch für Phishing-Mails an Bundestagsbüros im Jahr 
2015 verantwortlich sein soll. Einen Tag später korrigierte sich die Agentur und 
schrieb den „Vorfall“ unter Berufung auf ungenannte „Kreise“ dem ebenfalls in 
Russland verorteten Netzwerk „Snake“ zu, das „Verbindungen“ zu russischen 
Geheimdiensten habe („Kreise: Russische „Snake“-Hacker hinter Angriff‘, dpa 
vom 1. März 2018). „Snake“ ist eigentlich die Bezeichnung für die Schadsoftware 
„Turla“ bzw. „Uroburos“ (www.kaspersky.de/resource-center/threats/epic-turla- 
snake-malware-attacks), wird jedoch synonym zur Bezeichnung mutmaßlicher 
Angreifer gebraucht. Der Trojaner „Uroburos“ wurde 2008 entdeckt und soll ky¬ 
rillische Schriftzeichen im Programmcode enthalten, seit 2014 soll eine Linux- 
Variante kursieren (https://malwarebattle.blogspot.de/2014/03/g-data-found- 
russian-cyber-weapon.html). Sicherheitsfirmen wiesen in den vergangenen Jah¬ 
ren daraufhin, dass „Uroburos“ Teil einer internationalen „Spionagekampagne“ 
gewesen sei, die weltweit „Botschaften, Rüstungsfirmen, Lehranstalten und For¬ 
schungsinstitute“ betroffen habe (https://securelist.com/the-epic-turla-operation/ 
65545/). Auch im Bundesinnenministerium war dies bekannt. Im Verfassungs¬ 
schutzbericht für 2016 heißt es, dass „Snake“ seit 2005 mit der „sehr komplexen 
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und qualitativ hochwertigen Schadsoftware“ aktiv sei. „Uroburos“ sei darauf aus¬ 
gelegt, „in großen Netzwerken von Behörden, Firmen und Forschungseinrichtun¬ 
gen zu agieren“. Betroffen seien insbesondere die Bereiche Energietechnik, Rönt¬ 
gen- und Nukleartechnologie, Messtechnologie sowie Luft- und Raumfahrt. 

Das Rootkit „Uroburos“, das sich selbstständig in infizierten Netzwerken verbrei¬ 
tet, besteht aus zwei Dateien für 32- und 64-Bit-Windows-Systeme mit einem 
Treiber. Die Kompromiftierung des IVBB sei laut der dpa über Computer einer 
Fachhochschule des Bundes für öffentliche Verwaltung erfolgt, Aktivitäten seien 
ab Ende 2016 festgestellt worden („Kreise: Russische ,Snake‘-Flacker hinter An¬ 
griff‘, dpa vom 1. März 2018). Der Angriff wurde möglicherweise durch fehlende 
Sicherheitsupdates oder eine großzügige Rechtevergabe begünstigt. Gewöhnlich 
nutzen Angreifer auch nicht veröffentlichte Sicherheitslücken („Zero Day Explo- 
its“). Laut dem Verfassungsschutzbericht für 2016 erfolgten Infektionen mit 
„Uroburos“ meist über sogenannte Watering-Hole-Aftacken, bei denen Angreifer 
Webpräsenzen, die für das Opfer potenziell interessant sind, auf infizierte Webs¬ 
erver umleiten. Werden die Seiten aufgerufen, erfolgt die Installation der Schad¬ 
software bei dem Opfer des Cyberangriffs. Die ausgewählten Betroffenen seien 
auf einer sogenannten White-List gespeichert. In der Süddeutschen Zeitung vom 
6. März 2018 heißt es dazu, die Angreifer hätten das Mailprogramm Microsoft 
Outlook genutzt, um dort codierte Befehle in einem Mail-Anhang zu verstecken. 
Der betroffene Rechner war demnach bereits mit Schadsoftware infiziert. Über 
Outlook sollen die Dokumente schließlich auch ausgeleitet worden sein. Infiziert 
worden sei zunächst die Liegenschaftsverwaltung des Außenministeriums, da¬ 
nach ein Referat mit Russlandbezug. Im Januar 2017 habe die Malware einen 
Steuerbefehl erhalten und begonnen, Informationen an einen nicht näher benann¬ 
ten Server auszuleiten. Im März hätten die Angreifer dann Administrator-Rechte 
auf Windows-Clients im Auswärtigen Amt erlangt. Erst kurz vorher wurden die 
dortigen Linux-Systeme zu Windows und Microsoft migriert (Bundestagsdruck¬ 
sache 18/4473). Einen der Rechner habe ein Mitarbeiter des Bundesverteidi¬ 
gungsministeriums genutzt. Das Verteidigungsministerium soll deshalb entgegen 
erster Informationen nicht direkt betroffen gewesen sein. 

Der IT-Angriff hat nach derzeitigem Stand keinen großen Schaden angerichtet. 
Im IVBB werden keine vertraulich oder geheim eingestuften Dokumente verteilt 
(„Regierungspressekonferenz vom 2. März 2018“, bundesregierung.de). Die 
Rede ist von sechs abgefiossenen Dokumenten, die zum Teil „Bezüge zu Russ¬ 
land, der Ukraine und Weißrussland“ hätten. Ein Mitarbeiter des Innenministeri¬ 
ums erklärte im Ausschuss für Verkehr und digitale Infrastruktur, das Parlament 
und die Öffentlichkeit sei nicht früher über den Vorfall informiert worden, um die 
Angreifer weiter beobachten und rückverfolgen zu können. Die an die Presse ge- 
leakten Informationen hätten die weitere Aufklärungsarbeit zwangsläufig been¬ 
det. Die Bundesanwaltschaft hat deshalb Vorermittlungen auf der Suche nach der 
undichten Stelle begonnen („Bundesanwaltschaft nimmt Vorermittlungen auf‘, 
haz.de vom 2. März 2018). Nicht auszuschließen sei, dass die Veröffentlichungen 
dafür sorgten, dass die Angreifer Spuren löschen konnte. 

In der Vergangenheit will die Bundesregierung täglich 20 „hoch spezialisierte 
Cyberangriffe“ festgestellt haben, von denen nach Einschätzung des BSI einer 
pro Woche „einen nachrichtendienstlichen Hintergrund“ gehabt hätte (Bundes¬ 
tagsdrucksache 18/11106, Frage 18). Für die Einstufung als „hoch spezialisierter 
Cyberangriff ‘ genügt es jedoch, wenn eine Schadsoftware die Virenscanner des 
BSI überwinden kann. In keinem der Fälle konnte der vermutete „nachrichten¬ 
dienstliche Hintergrund“ bestätigt oder gar nachweislich einer Regierung zuge¬ 
ordnet werden. 

Trotzdem will die Bundesregierung die rechtlichen und technischen Fähigkeiten 
zu digitalen Gegenschlägen ausweiten („Hacking back? Technische und politi¬ 
sche Implikationen digitaler Gegenschläge“, SWP-Aktuell 59, August 2017). Der 
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Bundessicherheitsrat soll hierzu eine Analyse der benötigten technischen Fähig¬ 
keiten vornehmen und der Regierung Vorschläge für notwendige gesetzliche Än¬ 
derungen vorlegen. Solche „Hackbacks“ könnten laut dem Chef der neuen Ent¬ 
schlüsselungsbehörde des Bundes (ZITiS) helfen, „entwendete Dateien und Do¬ 
kumente zumindest auf den Servern der Diebe zu löschen“ („Entschlüsselungs¬ 
behörde - Staat muss digital Zurückschlagen können“, de.reuters.com vom 
22. November 2018). Auch im Koalitionsvertrag von Union und SPD heißt es, 
man wolle „Angriffe aus dem Cyberraum gegen unsere kritischen Infrastrukturen 
abwehren und verhindern“. 

Wir fragen die Bundesregierung: 

1. Wie viele „hoch spezialisierte Cyberangriffe“ stellt das BSI in 2016 und 2017 
im Durchschnitt täglich im IVBB und im Bundestagsnetz fest, bei denen es 
als Einstufüng genügte, dass die Virenscanner die Schadsoftware übersehen 
(Bundestagsdrucksache 18/11106, Frage 18)? 

2. In wie vielen der Fälle wurde dabei ein „nachrichtendienstliche Hintergrund“ 
angenommen, und in wie vielen Fällen wurde dieser bestätigt oder gar nach¬ 
weislich einer Regierung zugeordnet? 

3. Welchem russischen Geheimdienst ordnet die Bundesregierung die „Cy¬ 
berangriffskampagne APT 28“ zu (Bundestagsdrucksache 18/13667, Fra¬ 
ge 12 des Abgeordneten Andrej Hunko)? 

a) Welche „Hinweise“ auf eine Spear-Phishing-Angriffswelle auf mehrere 
politische Parteien auf Bundes- und Landesebene wurden im August 2016 
bekannt? 

b) Aus welchen Erwägungen oder nach welchen „Indizien“ wurden zurück¬ 
liegende „Angriffsversuche“ dem Netzwerk „APT 28“ zugerechnet und 
welche „nachrichtendienstlichen Erkenntnisse“ lagen hierzu vor (Bundes¬ 
tagsdrucksache 18/11106, Frage 18; bitte die „Indizien“ ausführen)? 

c) Welche „Angriffsvorbereitungen“ konnten im Februar 2017 „erfolgreich 
verhindert werden“? 

d) Welche „Cyberangriffe“ erfolgte anschließend auf Netzwerke politischer 
Stiftungen und inwiefern handelte es sich dabei lediglich um den Versand 
von Spear-Phishing-Mails? 

e) Aus welchen Erwägungen oder nach welchen Indizien wurden diese Vor¬ 
fälle von den deutschen Sicherheitsbehörden „als mögliche Vorberei¬ 
tungshandlungen für Versuche einer Einflussnahme auf die Bundestags¬ 
wahl angesehen“, die nach Kenntnis der Fragestellerinnen und Fragestel¬ 
ler schließlich nie erfolgte oder nachgewiesen werden konnte? 

4. Handelt es sich bei dem jüngsten Angriff auf das deutsche Regierungsnetz 
nach Auffassung der Bundesregierung um einen Vorgang von besonderer 
Bedeutung gemäß §4 Absatz 1 PKGr und bitte begründen Sie diese Auffas¬ 
sung? 

Falls ja, wurde das PKGr umgehend unterrichtet oder wer entschied, vorerst 
von einer Unterrichtung abzusehen? 
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5. Welche IT-Systeme und welche Ministerien bzw. nachgelagerte Bundesbe¬ 
hörden waren von dem am 28. Februar 2018 bekannt gewordenen IT-Angriff 
nach derzeitigem Stand betroffen? 

a) Welche der dabei genutzten Angriffsinfrastruktur (insbesondere die Nut¬ 
zung von Outlook und bekannter Server zum Ausleiten der Dokumente) 
ist bereits bei anderen Angriffen gegen Einrichtungen des Bundes festge¬ 
stellt worden (Bundestagsdrucksache 18/11106, Frage 1)? 

b) Welche Schadsoftware wurde nach derzeitigem Stand bei dem Angriff 
genutzt? 

c) Wann und wo genau ist die Kompromiftierung des IVBB erfolgt, und wel¬ 
chen Weg nahm die Schadsoftware? 

d) Inwiefern wurden bei dem Angriff nach derzeitigem Stand der Ermittlun¬ 
gen Webpräsenzen, die für das Opfer potenziell interessant sind, auf infi¬ 
zierte Webserver umgeleitet? 

e) Wann erhielten die Angreifer Administrator-Rechte auf den Web-Clients 
im Auswärtigen Amt? 

f) Wann erhielt die Schadsoftware einen Steuerbefehl und begann, Informa¬ 
tionen auszuleiten, und welche Server wurden hierfür genutzt? 

g) Wann wurde der Angriff endgültig unter Kontrolle gebracht und die 
Schadsoftware aus dem IVBB entfernt? 

Ist die Bundesregierung sich sicher, dass die Schadsoftware vollständig 
entfernt wurde und kann ausschließen, dass sich Teile davon noch im 
IVBB Netz befinden? 

h) Für welchen Zeitraum werden im IVBB Vorratsdaten gespeichert und 
welche Logfiles des in Rede stehenden Angriffs stehen ab welchem Da¬ 
tum für Analysen und Ermittlungen zur Verfügung? 

6. Inwiefern war das beim Bundesverwalfungsamf geführfe und vom Bundes¬ 
kriminalamt genutzte Passagierdatensystem in der Vergangenheit von IT-Si- 
cherheitsvorfällen betroffen (bitte jeweils ausführen)? 

a) Aus welchen Gründen wurde das System wie berichtet abgeschaltet („Ha¬ 
cker sollen Dokumente zu Brexit und Ukraine entwendet haben“, zeit.de 
vom 10. März 2018, bitte mifteilen ob vorab nicht nur „Belastungstests“, 
sondern auch Penetrationstests durchgeführt wurden)? 

b) Welche Ergebnisse ergaben diese Tests jeweils mit Blick auf ihre Sicher¬ 
heit? 



Deutscher Bundestag - 19. Wahlperiode 


-5- 


Drucksache 19/1390 


7. In welchen Fällen war die Lemplattform „Ilias“, die an der Flochschule des 
Bundes zu Weiterbildungszwecken genutzt wird, in der Vergangenheit von 
IT-Sicherheitsvorfallen betroffen („Flack auf Bundesregierung erfolgte über 
Lemplattform Ilias“, golem.de vom 8. März 2018)? 

a) Kann die Bundesregierang bestätigen, dass der Standardaccount mit Ad¬ 
ministratorrechten mit dem Passwort „homer“ angelegt wurde? 

b) Wenn nein, welches war das Passwort bei der Erstanlage? 

Inwiefern kann die Bundesregierung sicherstellen, dass jedes dieser Initi¬ 
alpasswörter nach Installation sofort auf ein anderes Passwort geändert 
wurde? 

c) Inwiefern trifft es zu, dass „Ilias“ seit März 2017 in der Version 5.1.16 
betrieben wurde, obwohl es danach mehrere Sicherheitsupdates gegeben 
hat? 

d) Welche Sicherheitslücken wurden durch die verzögerte Installation von 
Sicherheitsupdates ermöglicht (etwa Cross-Site-Scripting oder die Be¬ 
handlung von Mediendateien)? 

e) Was ist der Bundesregierung darüber bekannt, wann genau die Version 
5.1.16 eingespielt wurde und inwiefern der aktuelle IT-SicherheitsVorfall 
davon profitierte, dass eine erst damit geschlossene Sicherheitslücke das 
Kopieren von Dateien an beliebige Stellen im Dateisystem ermöglichte? 

8. Welche deutschen Geheimdienste oder Ministerien wurden wann von wel¬ 
chem „ausländischen Partner“, der möglicherweise aus dem Baltikum 
kommt, über den Angriff informiert? 

9. Von welchen Ministerien, nachgelagerten Bundesbehörden oder Abteilun¬ 
gen wurde die Information über den laufenden Angriff nach derzeitigem 
Stand der Ermittlungen an die dpa weitergegeben, und inwiefern konnte die 
Bundesregierung analysieren, ob die Veröffentlichungen dafür sorgten, dass 
die Angreifer Spuren löschen konnten? 

10. Welchen Schaden hat der Angriff nach derzeitigem Stand der Analyse ange¬ 
richtet und welche Dokumente wurden kopiert? 

a) Welches „Referat mit Russlandbezug“ ist von dem Vorfall betroffen? 

b) Worin bestehen die „Bezüge zu Russland, der Ukraine und Weißruss¬ 
land“, die den sechs kopierten Dokumenten zugeschrieben werden, und 
zu welchen weiteren Ländern hatten diese „Bezüge“? 

11. Welche Bundesbehörden (auch die Bundesanwaltschaft) ermitteln zu dem 
Vorfall und damit im Zusammenhang stehenden Fragen, und wie sind die 
Zuständigkeiten geregelt? 

12. Inwiefern kann die Bundesregierung die in den Medien vermutete Urheber¬ 
schaft der in Russland verorteten Netzwerke „APT28“ oder „Snake“ bestäti¬ 
gen oder nicht bestätigen? 

Für wie sicher wird die Zuschreibung gehalten? 

13. Welchem russischen Geheimdienst kann „Snake“ aus Sicht der Bundesregie¬ 
rung zugeordnet werden? 
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14. Seit wann ist dem Bundesinnenministerium der Trojaner „Uroburos“ be¬ 
kannt und welche Vorkehrungen wurden für entsprechende Angriffe getrof¬ 
fen? 

a) Welche deutschen Netzwerke „von Behörden, Firmen und Forschungs¬ 
einrichtungen“ wurden nach Kenntnis der Bundesregierung mit „Uro¬ 
buros“ infiltriert bzw. welche Versuche sind hierzu bekannt (Verfas¬ 
sungsschutzbericht von 2016; sofern keine Details oder Zahlen der An¬ 
griffe mitgeteilt werden können, bitte deren Größenordnung angeben)? 

b) Aus welchen Quellen nimmt das BfV die Informationen, dass von „Uro¬ 
buros“ bzw. „Snake“ insbesondere die Bereiche Energietechnik, Rönt¬ 
gen- und Nukleartechnologie, Messtechnologie sowie Luft- und Raum¬ 
fahrt ausgeforscht würden? 

c) Welche technischen Details sind der Bundesregierung zur Software „Uro¬ 
buros“ bekannt? 

d) Welche Dateisysteme kann „Uroburos“ infdtrieren, und wie verbreitet 
sich die Malware? 

15. Inwiefern ist die von BfV und BND eingerichtete „temporäre Arbeitseinheit“ 
zur Prüfung, „ob die russische Regierung mit geheimdienstlichen Mitteln die 
politische Debatte und die öffentliche Meinung in Deutschland zu beeinflus¬ 
sen versucht“, weiterhin existent (Bundestagsdrucksache 18/10759, Fra¬ 
ge 8)? 

a) Welche wesentlichen Ergebnisse schildert der Bericht, den die Bundesre¬ 
gierung beim BND und beim BfV zu vermeintlich russischen Aktivitäten 
im Cyberraum beauftragt hatte, zu denen es heißt die Bundesregierung 
habe diesen Bericht „zur Kenntnis genommen“ (Bundestagsdrucksache 
18/11106, Frage 1)1 

b) Flinsichtlich welcher weiterer Regierungen außer den in der Beantwor¬ 
tung der Kleinen Anfragen auf Bundestagsdrucksachen 18/11106, 
18/8631 und 18/10759 genannten Regierungen hat das BfV „Anwerbe- 
versuche“ der „Mitarbeiter [deutscher] Parlamentarier oder politischer 
Stiftungen“ beobachten können? 

16. Inwiefern könnte der am 28. Februar bekannt gewordene Angriff nach der¬ 
zeitigem Stand der Analyse durch fehlende Sicherheitsupdates oder eine 
großzügige Rechtevergabe begünstigt worden sein, und wie ist hierzu im 
Auswärtigen Amt verfahren worden? 

17. Inwiefern hälfe der Angriff nach derzeitigem Stand der Analyse verhindert 
werden können, wenn das Auswärtige Amt nicht bis 2015 komplett auf 
Windows XP und Windows 7 umgestiegen wäre (Bundestagsdrucksache 
18/4473)? 

18. Wie viele E-Mails, die Schadsoftware enthielten, wurden im IVBB in den 
Jahren 2016 und 2017 abgefangen? 

19. Wie viele Verbindungen zu Webseiten, die Schadsoftware enthielten, wur¬ 
den im IVBB in den Jahren 2016 und 2017 unterbunden? 

20. Inwiefern könnten die Angreifer nach derzeitigem Stand der Analyse nicht 
veröffentlichte Sicherheitslücken („Zero Day Exploits“) genutzt haben, und 
inwiefern ist es dem BSI überhaupt möglich, hierzu am Ende der Analyse 
und Ermittlungen mit endgültiger Klarheit Aussagen zu treffen? 
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21. Was kann die Bundesregierung über den Fortgang eines deutschen Prozesses 
mitteilen, in den Überlegungen zur Nutzung von Schwachstellen (sogenann¬ 
ten Exploits bzw. Zero Day Exploits) durch Strafverfolgungsbehörden oder 
Geheimdienste münden sollen (Bundestagsdrucksache 18/13696, Frage 25 
des Abgeordneten Andrej Hunko)? 

a) Welche Kriterien müssten aus Sicht der Bundesregierung beispielsweise 
erfüllt sein, damit entschieden würde, dass eine gefundene Schwachstelle 
lieber nicht durch die Behörden ausgenutzt wird, sondern die Hersteller 
und Betreiber der Systeme gewarnt werden, damit sie diese schließen kön¬ 
nen? 

b) Sofern die Meinungsbildung innerhalb der Bundesregierung hierzu im¬ 
mer noch nicht abgeschlossen ist, wann kann sie zur Frage möglicher 
„Stufen eines Prozesses“ und zu möglichen „Kriterien“ eine Aussage tref¬ 
fen? 

22. Mit welchen russischen Behörden arbeiten welche Bundesbehörden im Be¬ 
reich der Cybersicherheit oder der Abwehr von IT-Angriffen regelmäßig in 
technischen, operativen und strategischen Fragen zusammen? 

23. Sofern der am 28. Februar bekanntgewordene Angriff einem Staat zugerech¬ 
net werden kann, nach welcher Maßgabe hätte die Bundesregierung aus ihrer 
Sicht das Recht, diesen für sein Fehlverhalfen zu sankfionieren? 

24. Aus welchen Erwägungen hälf es die Bundesregierung für nofwendig, die 
rechtlichen und technischen Fähigkeiten zu digitalen Gegenschlägen auszu¬ 
weiten und welche Pläne wird sie hierzu verfolgen („Hacking back? Techni¬ 
sche und politische Implikationen digitaler Gegenschläge“, SWP-Aktuell 59, 
August 2017)? 

a) Welche Ergebnisse kann die Bundesregierung zu Analysen der hierzu be¬ 
nötigten technischen Fähigkeiten mitteilen, und welche Vorschläge für 
notwendige gesetzliche Änderungen wurden hierzu ermittelt? 

b) Inwiefern sollten vor einem digitalen Gegenschlag zunächst internatio¬ 
nale Rechtshilfeersuchen gestellt werden, um Angreifer zu ermitteln und 
die Behörden des zuständigen Landes zur Mitarbeit bei der Abwehr auf- 
zufordem? 

c) Welche Behörden sollten aus Sicht der Bundesregierung mit Möglichkei¬ 
ten digitaler Angriffe oder Gegenschläge ausgestattet werden? 

d) Über wie viele Mitarbeiterinnen und Mitarbeiter verfügt das vor einem 
Jahr bei der Bundeswehr gegründete Kommando „Cyber- und Informati¬ 
onsraum“, und welcher Personalbestand ist geplant? 

e) Auf welche Weise soll die Zusammenarbeit von Bund und Ländern bei 
der Cyberabwehr ausgebaut, verbessert und strukturell neu geordnet wer¬ 
den? 

f) Mit welchen Kompetenzen wird die Rolle des BSI diesbezüglich gestärkt 
und ist geplant, die Behörde unabhängig zu gestalten und die Nachord¬ 
nung zum Bundesministerium des Innern aufzulösen, um Interessenskon¬ 
flikte auszuschließen? 

Berlin, den 16. März 2018 


Dr. Sahra Wagenknecht, Dr. Dietmar Bartsch und Fraktion 
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